Spring Security-使用授权标头进行身份验证

Question

我正在尝试使用Sprint安全框架在Spring Boot中为我的HTTP请求设置授权。我是Spring Security的新手，我找不到任何关于我的情况的文档。

我知道我们必须重写WebSecurity配置适配器方法-configure（AuthenticationManagerBuilder）

这是我试图建立的流程。我的前端和后端托管在不同的域中，所以我也在寻找跨来源的授权。通过发布到REST API登录，[单独针对这个API，应该没有授权]

https://atlan.co/login - POST
{
'user_name': 'mani',
'password': 'mani'
}

/login REST Controller 接收用户名和密码，LDAP 身份验证在身份验证成功后创建令牌并存储在内存中 DB [Redis Preferably] 中，用户名user_email映射到令牌。并向浏览器发送登录成功消息，其中包含“设置授权 Cookie - 令牌”。

之后，来自浏览器的每个请求都将伴随着带有令牌值的授权头。

以上部分，我能够解决它。当请求传入时，我想设置Spring Security，以便它将读取授权标头并获取用户名，如果令牌存在，则从Redis获取用户电子邮件，将用户名，用户电子邮件传递给控制器以及控制器的通常流程。如果令牌不存在，则应以 JSON 格式抛出 401 未授权 HTTP 错误以及自定义消息。

我试着阅读Stackoverflow， Spring留档中的问题，但我无法解决。如果有人能阐明这一点，那将是非常有帮助的。

Answer 1

您需要添加自定义Spring过滤器来处理您的授权标头

public class YourAuthenticationFilter extends OncePerRequestFilter
{

  @Override
  protected void doFilterInternal(HttpServletRequest request,
    HttpServletResponse response, FilterChain filterChain)
    throws ServletException, IOException
  {

    String xAuth = request.getHeader("Authorization");//here is your token value
    //Place here your redis checks, get Authentication and so on
    SecurityContextHolder.getContext().setAuthentication(auth);

    filterChain.doFilter(request, response);
  }

}

在安全配置中：

@Override
protected void configure(HttpSecurity http) throws Exception
{
  http
    //...
    .addFilterBefore(new YourAuthenticationFilter(), BasicAuthenticationFilter.class)
    //...
}